Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica

Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica

Resumen

Alrededor de las firmas electrónicas y digitales, se han formado múltiples conceptos intrínsecos y extrínsecos, que son abordados en este libro, a partir de inquietudes como las siguientes, ¿qué diferencia hay entre firma digital y certificado digital?, ¿por qué las entidades de certificación digital ofrecen certificados de firmas digitales y no solo la firma digital?, ¿Latinoamérica usa el mismo tipo de firmas digitales?, ¿puede usarse una firma digital para otros propósitos? ¿es una firma electrónica simple igualmente valida a una firma digital? ¿qué debo verificar cuando recibo un documento firmado digitalmente? estas y otras preguntas son de necesaria respuesta para contribuir a que la sociedad en general, así como los sectores públicos, puedan entender de forma clara lo que significan las firmas digitales. En ese sentido, este libro hace una aproximación de los distintos conceptos legales que se desarrollan alrededor de las firmas digitales con el fin de hacer un aporte para que la sociedad se apropie de ellas.

Los autores presentan una comparación legislativa regional, incluyendo España y Estados Unidos, que busca encontrar los puntos en común y disímiles, y cómo cada regulación ha permitido en mayor o menor medida el uso de firmas electrónicas y digitales; así mismo, se pretende establecer puentes que permitan intercambiar firmas por medios electrónicos provenientes de distintos países que faciliten las distintas relaciones en las que se usan.

Palabras clave: legislación, firmas digitales, comercio electrónico, protección de datos, seguridad informática, certificados digitales, España, EE. UU.

Theoretical-practical aspects of digital signature in Colombia and its reference point in Latin America

Abstract

This book addresses multiple intrinsic and extrinsic concepts regarding electronic and digital signatures, based on concerns such as the following: What is the difference between a digital signature and a digital certificate? Why do digital certification authorities offer digital signature certificates and not just digital signatures? Do Latin American countries use the same type of digital signatures? Can a digital signature be used for other purposes? Is a simple electronic signature as valid as a digital signature? What should we check when we receive a digitally signed document? It is necessary to answer these and other questions so that society in general and the public sectors can clearly understand what digital signatures mean. In this sense, this book aims to present an initial approach to different legal concepts developed around digital signatures so that society can appropriate them.

The authors present a regional legislative comparison, including Spain and the United States. They seek to identify common and dissimilar points, as well as how each regulation has allowed, to a greater or lesser extent, the use of electronic and digital signatures. Likewise, it aims to establish bridges to promote the exchange of signatures in electronic format from different countries that facilitate the varied relationships in which they are used.

Keywords: legislation, digital signatures, electronic commerce, data protection, computer security, digital certificates, Spain, USA.

Citación sugerida / Suggested citation

Rincón Cárdenas, Erick y Mendieta Clavijo, Cristian, Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica, Editorial Universidad del Rosario, Bogotá, D. C., 2021. https://doi.org/10.12804/urosario9789587847468

Rincón Cárdenas, Erick

Aspectos teórico-prácticos de la firma digital en Colombia y su referente en Latinoamérica / Erick Rincón Cárdenas, Cristian Mendieta Clavijo – Bogotá: Editorial Universidad del Rosario, 2021.

Incluye referencias bibliográficas.

1. Firmas digitales – Legislación. 2. Comercio electrónico – Legislación –Colombia – Latinoamérica. 3. Protección de datos – Legislación. 4. Seguridad informática. I. Rincón Cárdenas, Erick. II. Mendieta Clavijo, Cristian. III. Universidad del Rosario. IV. Título.

343.09944SCDD 20

Catalogación en la fuente – Universidad del Rosario. CRAI

Hecho el depósito legal que marca el Decreto 460 de 1995

© Editorial Universidad del Rosario

© Universidad del Rosario

© Erick Rincón Cárdenas,

Cristian Mendieta Clavijo

Editorial Universidad del Rosario

Carrera 7 n.º 12B-41, of. 501

Tel: 2970200 Ext. 3112

editorial.urosario.edu.co

Primera edición: Bogotá D. C., 2021

ISBN: 978-958-784-744-4 (impreso)

ISBN: 978-958-784-745-1 (ePub)

ISBN: 978-958-784-746-8 (pdf)

https://doi.org/10.12804/urosario9789587847468

Corrección de estilo: Mónica Montes Ferrando

Diseño de cubierta: César Yepes y Luz Arango

Diagramación: Precolombi EU-David Reyes

Conversión ePub: Lápiz Blanco S.A.S.

Hecho en Colombia

Made in Colombia

Los conceptos y opiniones de esta obra son responsabilidad de sus autores y no comprometen a la Universidad ni sus políticas institucionales.

El contenido de este libro fue sometido al proceso de evaluación de pares, para garantizar los altos estándares académicos. Para conocer las políticas completas visitar: editorial.urosario.edu.co

Todos los derechos reservados. Esta obra no puede ser reproducida sin el permiso previo escrito de la Editorial de la Universidad del Rosario.

Autores

Erick Rincón Cárdenas

Abogado de la Universidad del Rosario (Colombia), con posgrados en Derecho Financiero y Derecho Contractual de la Universidad del Rosario, diplomado en Comercio Electrónico Internacional de la Universidad Externado de Colombia, diploma de Estudios Avanzados (DEA), magíster en Derecho Mercantil de la Universidad Alfonso X de España y doctor en Derecho de la Universidad Europea de Madrid. Es profesor asociado de la Facultad de Jurisprudencia de la Universidad del Rosario y presidente de Colombia Fintech, así como de la Alianza Fintech Iberoamérica.

Cristian Mendieta Clavijo

Abogado de la Universidad Católica de Colombia, especialista en Derecho Comercial y Financiero de la Universidad Sergio Arboleda, en Derecho de los Negocios de la Universidad Externado de Colombia y en Derecho Informático y de las Nuevas Tecnologías de la Universidad Externado de Colombia; auditor interno certificado en ISO 20.000-1, gestión de servicios de tecnologías de la información (2019).

Ilustración de cubierta de Luz Arango y diseño de César Yepes.

Nota introductoria

Capítulo I. Introducción a la regulación del comercio electrónico

1.1. Tendencias regulatorias en materia de comercio electrónico

1.2. Equivalencia funcional como principio cardinal, desde el punto de vista jurídico, del comercio electrónico

1.2.1. El equivalente funcional de escrito

1.2.2. El equivalente funcional de firma

1.2.3. El equivalente funcional de original

1.2.4. El equivalente funcional de archivo y conservación

1.2.5. Análisis comparado del principio

1.3. Documento electrónico

1.3.1. Etimología de documento

1.3.2. Concepción del documento como representación fáctica

1.3.3. Concepción de la representación de un hecho en mensajes de datos

1.3.4. El valor legal y probatorio de un documento electrónico

1.3.5. Definición de documento electrónico y de su valor probatorio

1.4. Requisitos esenciales para alcanzar la seguridad en entornos electrónicos

1.4.1. La autenticación

1.4.2. La confianza en los negocios

Capítulo II. Seguridad jurídica en entornos electrónicos

2.1. Riesgos jurídicos asociados al comercio electrónico

2.2. Riesgos propios del intercambio de mensajes de datos. El documento electrónico

2.3. Características de seguridad jurídica en los mensajes de datos

2.3.1. Integridad

2.3.2. Inalterabilidad

2.3.3. Autenticidad

2.3.4. No repudio

Capítulo III. Firma digital como mecanismo de seguridad técnica y jurídica

3.1. Firma manuscrita

3.2. Características y elementos de la firma

3.3. Firma electrónica

3.3.1. Características de la firma electrónica

3.3.2. Aspectos probatorios de las firmas electrónicas y su especie la firma digital

3.4. Algunas referencias legales de las firmas digitales en el mundo

3.4.1. Estados Unidos

3.4.2. Naciones Unidas–CNUDMI

3.4.3. El TLC Colombia–EE. UU. Autenticación y certificados digitales

3.4.4. España

3.4.5. Grupo de Trabajo de Ingeniería de Internet (IETF, por sus siglas en inglés)

3.4.6. Legislación latinoamericana

3.4.6.1. Argentina

3.4.6.2. Brasil

3.4.6.3. Chile

3.4.6.4. Colombia

3.4.6.5. Ecuador

3.4.6.6. México

3.4.6.7. Perú

3.4.6.8. Uruguay

3.4.7. Modelo estándar del proceso de certificación digital

3.5. La firma digital en Colombia

3.6. Principales diferencias entre la firma electrónica y la firma digital

3.7. Certificados digitales

3.8. Prestadores de servicios de certificación o autoridades de certificación

3.8.1. Análisis jurídico de los prestadores de servicios de certificación digital

3.8.2. Clases de autoridades de certificación

3.8.3. Requisitos de funcionamiento

3.8.3.1. Requisitos generales

3.8.3.2. Requisitos especiales

3.8.4. Análisis comparado de la legislación sobre certificados de firma digital

3.8.4.1. Definición

3.8.4.2. Atributos jurídicos de una firma electrónica y/o digital

3.8.4.3. Requisitos y características de la especie de la firma electrónica (firma digital o firma numérica)

3.8.4.4. Obligaciones del titular de una firma electrónica y/o digital

3.8.4.5. Certificados digitales

3.8.4.6. Contenido de un certificado de firma

3.8.4.7. Suspensión, revocación o cancelación y extinción de un certificado

3.8.4.8. Certificaciones recíprocas/cruzadas

3.8.4.9. Definición, características y requerimientos de las entidades de certificación

3.8.4.10. Entidades de registro

3.8.4.11. Comentarios

3.8.5. El servicio de estampado cronológico en el caso colombiano

3.8.6. Autoridad de archivo confiable

3.8.7. Aplicabilidad del archivo confiable y el estampado cronológico

Capítulo IV. Aplicaciones de la firma digital en el contexto latinoamericano

4.1. Integración regional–Caso ALADI

4.2. México: funcionamiento de los impuestos por medios electrónicos

4.3. Factura electrónica en Chile

4.4. Ventanilla única de comercio exterior en Colombia

4.5. SIIF-Nación (Colombia)

4.5.1. Identidad y autenticación

4.5.2. No repudio

4.5.3. Integridad

4.6. WPKI (Wireless Public Key Infrastructure–infraestructura de clave pública para redes inalámbricas)

4.6.1. Comercio electrónico seguro desde las app y desde el IoT (Internet of things)

4.6.2. UMTS (Universal Mobile Telecommunications System o sistema universal de telecomunicaciones móviles)

4.6.3. WPKI–Infraestructura de clave pública inalámbrica

4.6.4. Funcionamiento de WPKI en SIM card

Capítulo V. Posibilidades de aplicación de la firma digital–Contratación electrónica

5.1. Nota introductoria

5.2. Los problemas en materia contractual

5.2.1. La manifestación de la voluntad

5.2.2. La integridad de la voluntad

5.3. Algunas posibles soluciones

5.3.1. La manifestación de la voluntad

5.3.2. La integridad de la voluntad

5.4. El documento electrónico

5.5. Atributos de la firma digital dentro de procesos de contratación

5.5.1. Incorporación de la firma digital a mensajes de datos que instrumenten relaciones contractuales

5.5.1.1. La oferta

5.5.1.2. La aceptación

5.5.2. Capacidad de las partes

5.5.3. Identificación de las partes: firma digital vs. seguridad jurídica

Capítulo VI. Interoperabilidad de servicios ciudadanos digitales en Colombia

6.1. Servicios ciudadanos digitales

6.2. Interoperabilidad basada en certificados digitales de confianza en Estonia

6.3. Interoperabilidad en Colombia con X-Road®

6.4. Otros aspectos legislativos que involucran el desarrollo de los servicios ciudadanos digitales

Conclusiones

7.1. Documento y firma. Documento electrónico y firma digital

7.2. Fiabilidad de la firma digital

Glosario y siglas

Bibliografía

Nota introductoria

Terminando la segunda década del siglo XXI, nos encontramos en una explosión de nuevas tecnologías que, desde el punto de vista histórico, llamamos la cuarta revolución industrial (en adelante, 4RI), las cuales se han venido nutriendo de la seguridad jurídica basada en la legislación local e internacional, adoptada por cada país, que partió desde la acepción principal del valor jurídico del mensaje de datos y de la firma electrónica.

Dentro de la 4RI, la firma electrónica, y dentro de esta, de forma especial, la firma digital, que en la comunidad latinoamericana cumple, aproximadamente, veinte años en uso, y que cuenta con un marco jurídico suficiente para su adecuada apropiación, tanto en el sector privado como en el público, ha sido uno de los mayores impulsos en la generación de confianza negocial y pública, requeridos en el nuevo marco de ecosistemas digitales.

Lo anterior ha traído nuevos retos técnico-legales, que actualmente están siendo abordados en un nuevo foco de estudio jurídico llamado legaltech, cuyo propósito es la convergencia entre el derecho y la 4RI, así, esta nueva tendencia en la aplicación del derecho, busca interiorizar los avances técnicos y encontrar su asidero en un esquema de interoperabilidad normativa para la seguridad de las relaciones surgidas y basadas en la misma tecnología, a su vez, el resultado esperado del legaltech, es la consolidación de ecosistemas digitales que sirvan para el propósito para el cual fueron creados.

El estudio del legaltech, se ha abierto camino en el mundo y este fenómeno no es ajeno a Latinoamérica, por lo que una parte de este libro está dedicada en dar un primer vistazo al estado del arte como parte de la materialización de la disciplina jurídica regional.

Desde la nueva óptica legaltech, es acertado analizar las firmas electrónicas y digitales, desde sus diferentes perspectivas, y como parte de los ecosistemas digitales, ya sea como sustituto de la firma manuscrita con valor legal para cualquier documento electrónico que así lo exija, pasando por su uso en mecanismos de fiabilidad en cadenas de bloques (blockchain) o, finalmente, como parte esencial en mecanismos de interoperabilidad digital gubernamental, como lo veremos en el caso de Colombia.

Para entender la multiplicidad de usos que se le pueden dar a la firma digital, es necesario entenderla, primariamente, desde su concepción legal e inicialmente desde la perspectiva colombiana, para luego abordarla desde otros países latinoamericanos estudiados en este libro.

Haremos un breve estudio de las firmas electrónicas y digitales en Colombia; respecto de las segundas, atenderemos de forma ágil su concepción en la legislación de algunos países latinoamericanos e hispanohablantes que las acogen como firmas electrónicas avanzadas o certificadas.

Solo como parte de la lectura introductoria, damos a conocer a continuación la definición de la firma digital, que como veremos se le conoce como la firma digital certificada, la cual se encuentra en la Ley 527 de 1999 de Colombia, en su artículo 2º:

Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.1

Al desglosar la definición antes transcrita, el funcionamiento de la firma digital se podría sintetizar en los siguientes pasos:

a. El autor firma el documento por medio de la clave privada, obteniendo un valor numérico único del documento firmado (valor hash), que será cifrado, con esto no puede negar la autoría, pues solo él es el propietario y responsable de esa clave, aminorando el riesgo por alteración y no repudio del mensaje transmitido;

b. El receptor comprueba la validez de la firma por medio de la utilización de la clave pública vinculada a la clave privada, con lo cual es posible descifrar el valor numérico único obtenido del documento firmado y verificar la integridad del mensaje;

c. La información del firmante, es decir, la identidad del firmante se podrá verificar con el certificado digital que contiene la clave pública, de esta forma, el proceso de autenticidad, integridad y no repudio queda satisfecho.

Más adelante, con mayor detalle, se tratarán los conceptos técnico-legales de la firma digital, que permitirán comprender su multiplicidad de usos.

Veremos que, en las legislaciones latinoamericanas, se establece que las firmas digitales, electrónica certificada o avanzada buscan lograr la misma fuerza y efecto que una firma manuscrita, siempre que cumpla con los siguientes requisitos: (i) sea única, (ii) sea verificable, (iii) esté bajo control exclusivo del iniciador y (iv) esté ligada a la información del mensaje. En ese orden de ideas, las legislaciones latinoamericanas han plasmado distintas formas de darle cumplimiento a los requerimientos antes descritos, así como la regulación de las entidades prestadoras del servicio de certificación digital, institución que también veremos más adelante. Todo lo anterior, garantizando autenticidad, integridad y no repudio.

Otro concepto que deberemos apropiar será el de terceros de confianza, cuya función es la de facilitar el valor probatorio y asegurar la presunción de autenticidad, integridad y no repudio, dada por la ley a aquellos mensajes de datos que tienen como propósito sustituir la firma manuscrita.

Esta figura de nacimiento internacional ha sido acogida en forma parecida por los distintos países y, para el interés de estudio de este libro, en el conglomerado latinoamericano nace inicialmente como una forma ambiciosa de certificar todos los mensajes de datos en el tráfico global de estos, sin embargo, sus efectos se ven modulados a la especie de firma digital, por considerarlo oportuno y mesurado, para un tráfico escalable y acelerado de mensajes de datos.

Para comprender mejor la función de certificación de mensajes de datos firmados, respecto del valor legal y probatorio de los mismos, en este punto es necesario diferenciar distintas cualidades de la seguridad jurídica, ya que una es la de darle el mismo valor legal a los mensajes de datos y otra distinta es la de facilitar o asegurar su valor probatorio, por cuanto la segunda, como veremos brevemente en el caso colombiano, obedece a la posibilidad de trasladar la carga probatoria a la contraparte o a un tercero.

Cuando se traslada la carga de la prueba a un tercero, ello quiere decir que será el proveedor tercero de confianza, quien, por medio de un certificado digital, emita concepto previo de la integridad, autenticidad y no repudio de la firma digital empleada en un documento electrónico.

Ahora bien, la carga de la prueba podrá ser objeto de traslado a la contraparte, ya sea como consecuencia de la certificación hasta el momento enunciada, o como consecuencia de las ficciones legales que para ello establezcan cada uno de los países.

Para la muestra, podemos evidenciar en la legislación colombiana que, a falta de certificación, el artículo 7º del Decreto 2364 de 2012 establece la posibilidad de que en el pacto de firma se acuerde el cumplimiento de requisitos de la firma electrónica, como vemos a continuación:

Artículo 7º. Firma electrónica pactada mediante acuerdo. Salvo prueba en contrario, se presume que los mecanismos o técnicas de identificación personal o autenticación electrónica según el caso, que acuerden utilizar las partes mediante acuerdo, cumplen los requisitos de firma electrónica.

Visto lo anterior, es menester poner de presente que, aunque la autenticidad de la firma se pueda pactar, el mismo decreto nos dice que la seguridad de la firma siempre estará a cargo de la parte que suministra la firma electrónica, veámoslo a continuación:

Parágrafo. La parte que mediante acuerdo provee los métodos de firma electrónica deberá asegurarse de que sus mecanismos son técnicamente seguros y confiables para el propósito de los mismos. A dicha parte le corresponderá probar estos requisitos en caso de que sea necesario.2

Así mismo, acto seguido el citado decreto pone de manifiesto las formas de probar la confianza y seguridad de la firma.

Artículo 8º. Criterios para establecer el grado de seguridad de las firmas electrónicas. Para determinar si los procedimientos, métodos o dispositivos electrónicos que se utilicen como firma electrónica son seguros, y en qué medida lo son, podrán tenerse en cuenta, entre otros, los siguientes factores:

1. El concepto técnico emitido por un perito o un órgano independiente y especializado.

2. La existencia de una auditoría especializada, periódica e independiente sobre los procedimientos, métodos o dispositivos electrónicos que una parte suministra a sus clientes o terceros como mecanismo electrónico de identificación personal.3